klient küsib, kuidas me eemaldasime kõnetusoiguse lahkunud töötajatelt

Juurdepääsu eemaldamine pärast teenistusest lahkumist

See küsimus kontrollib, kas väljaregistreerimisprotsess on tihe: kas lahkunud töötaja juurdepääs tõesti sulgub ja kas see juhtub piisavalt kiiresti. Klient ei soovi protseduuri kirjalikku kirjeldust, vaid tõendeid, et see töötab — et kontod ei jää lahkumise järel "külge" jäänud. See kuulub alla juurdepääsupoliitikat ja IT-varade haldust, konkreetselt juurdepääsuõiguste lõpetamise ossa.

Konkreetne tõend selleks on väljaregistreerimise kontrollist või protseduurist, mis määrab, millised süsteemid lülitatakse välja: e-post, VPN, jagatud draivid, SaaS-rakendused, hoone juurdepääs ja võimalikud API-võtmed või teenuste sisselogimised, mis käisid selle töötaja nimel. Tugevam tõend on log või tiketi ülevaade, millest nähtub, et see juhtub ka ettenähtud aja jooksul, näiteks samal päeval või 24 tunni jooksul. Kui on perioodilist kontode ülevaatamist — kvartali kontroll, mis leiab omaksvõetud kontod — on see hea täiendus ja see kontroll kuulub ka julgeolek­meetmete perioodilise kontrollimise puhul. Kui formaalne protseduur puudub, on aus vastus "ei"; lubadus, et see "tavaliselt toimub" ei ole põhjendatud vastus.

Kuhu see kuulub: artikkel 21 lõige 2 ja Lisa A

Juurdepääsukontroll on nimetatud artikli 21 lõike 2 järgi NIS2-direktiivis ühe kümnest kohustuslikust meetmest, ja see on täpselt kategooria, kuhu see küsimus kuulub — mitte eraldi nimetatud kui "väljaregistreerimine", vaid juurdepääsukontrolli osana laiemas tähenduses. ISO/IEC 27001-s ilmneb see konkreetsemalt Lisas A olevates kontrollmeetmetes, kus juurdepääsuõiguste eemaldamine teenistuse lõppemisel on eraldi kontroll, eraldi üldisest juurdepääsu andmisest. Üksustel, mis kuuluvad Küberjulgeoleku seaduse alla niipea, kui see jõustub, kehtib sama jaotus nagu direktiivis.